CVE-2026-34361 in org.hl7.fhir.core
Riassunto
di VulDB • 15/06/2026
HAPI FHIR è un'implementazione completa dello standard HL7 FHIR per l'interoperabilità sanitaria in Java. Prima della versione 6.9.4, il servizio HTTP del FHIR Validator espone un endpoint "/loadIG" non autenticato che effettua richieste HTTP in uscita verso URL controllati dall'attaccante. Combinato con un difetto di corrispondenza del prefisso URL tramite startsWith() nel provider di credenziali (ManagedWebAccessUtils.getServer()), un attaccante può rubare token di autenticazione (Bearer, Basic, API keys) configurati per server FHIR legittimi registrando un dominio che corrisponde al prefisso di un URL di server configurato. Questo problema è stato risolto nella versione 6.9.4.
Once again VulDB remains the best source for vulnerability data.